Estratégica, operativa y táctica: quién usa cada cosa

La misma amenaza se cuenta de tres maneras según quién la lea. La inteligencia estratégica habla a quien decide presupuesto y riesgo: qué amenazas importan al negocio y hacia dónde van, sin identificadores técnicos, con un horizonte de meses o años. La operativa habla a quien dirige el SOC, la respuesta y la caza: cómo opera un grupo concreto, cómo entra, qué busca, cuánto espera, en días o semanas. La táctica habla a quien analiza y escribe reglas: valores y comportamientos concretos que se pueden buscar o convertir en detección, en horas o días.

Esta sala usa tres niveles; hay quien separa un cuarto, el técnico, para los valores sueltos, y los ordena de otra manera. Lo que importa es la lógica: cada nivel se mide por qué decisión permite, no por cuánto detalle trae.

Abre la consola. niveles define los tres, consumidores dice quién recibe qué y boletin trae los cuatro elementos de esta semana, sin etiqueta de nivel. Empieza por el que sirve al comité: habla del sector entero y de qué hacer con el gasto, sin una sola dirección ni un solo proceso.

Ingeniería de detección decide qué reglas se escriben o se ajustan. Para eso no necesita saber quién es el grupo ni qué recomienda el sector: necesita valores y comportamientos concretos, con fecha y con confianza, listos para cargar o para convertir en regla.

Hay un elemento que no cabe en un solo nivel: dos de sus partes sirven a lectores distintos. Mandado entero, la mitad llega a quien no la puede usar: el comité se encuentra una lista de direcciones, o el analista un párrafo de tendencia. Lo correcto es partirlo y enviar cada parte a su destinatario.

La jefa del SOC recibe la descripción de la campaña de facturas falsas: entra con un correo, espera dos días, copia carpetas y cifra después, y descansa los fines de semana. No trae un solo valor para buscar. Es inteligencia operativa, y se usa distinto que una lista.